信息安全：原理与实践

本书以国际信息系统安全认证联盟制定的知识体系为背景．首先概述了信息安全的基本原则和概念，然后介绍了信息安全的公共知识体系，而且提供了该体系10个知识范畴的概况：安全管理．安全架构与模型，业务持续计划和灾难恢复计划，法律、调查与道德规范，操作安全，访问控制系统与方法论，密码学和电信、网络以及Internet安全。
本书适用于高等院校计算机及相关专业的本科生和教师、从事信息安全方面的专业人员。

Mark Merkow获得了CISSP和CISM认证。他和他公司的CIO办公室一同致力于建立用于金融管理和设施的IT安全策略。其中所含的金融设施包括*、银行业以及证券产品和服务。Mark是ANSIX9F委员会代表，曾和国家标准与技术研究所（National Institute of Standards and Technol

第1章　为什么研究信息安全
　　本章目标
通过阅读本章与完成章末的习题，应该掌握如下内容：
认识到在IT(Information Technology)业中，信息安全专家日益增长的重要性，以及信息安全业如何成为收入可观的行业。
制定投身信息安全职业的战略。
理解在一定商业背景下的信息安全需求和内涵。
　　1.1 导言
随着网络化的计算机技术数十年的快速进步和Internet的惊人扩张，公众愈加关注网络犯罪对个人隐私的威胁。偷窃身份、盗版银行账户、伪造，这一连串的电子化犯罪，正如犯罪分子恶意运用计算机技术的想象力一般一——不可限量。由于Internet使用方便，计算机网络的开放，客户和业务越多，公众越容易遭受精明但居心不良的网络罪犯的攻击。为了对计算机、网络以及其中存储的信息进行保密，各个组织机构纷纷寻求信息安全专家的帮助。
信息安全专家不仅仅是狙击黑客攻击网站的技术人员。实际上，你将惊讶地了解到，信息安全学科既是商业管理的坚实基础，也是对密码学以及防火墙技术（用于保障信息系统的两项技术）的综合。本书将审视理论及实践中的技巧，但首先，我们先回答大多数学员开始该领域学习的第一个问题：为什么要研究信息安全？
　 1.2　增长的IT安全重要性与新的职业机会
　　在首席信息官（Chief Information Officer，CIO）看来，信息安全是要保护数据私密性、完整性以及可用性，以免数据被意外抑或故意误用。信息安全学科包含技术与非技术性的两个方面，用以降低信息系统越来越多地使用开放架构的风险。也就是说，组织对客户、商业伙伴以及员工开放越来越多的系统内部细节时，它们也将自身置身于更大的黑客攻击风险中。如银行对客户开通网上支票或信用卡交互业务，也就开启了伪造好像是来自于该银行的电子邮件的攻击的魔盒。这些伪装来自于银行的电子邮件，巧妙地收集用户访问网上银行的ID号与密码。一旦ID与密码被获取，银行客户就会吃惊地获悉，他们的账户莫名其妙地被洗劫一空。
　　……